Netcraft обнаружила серьезную уязвимость на сайте Yahoo

Netcraft обнаружила серьезную уязвимость на сайте Yahoo

Исследовательская компания Netcraft сообщила об обнаружении серьезной уязвимости на веб-сайте Yahoo. Эксплуатация уязвимости ведет к перехвату идентификационных файлов cookie, которые сервер отдает легальным пользователям. Перехватив указанные файлы-cookie, злоумышленник может выступать от имени авторизованного пользователя сайта yahoo.com и его дочерних проектов.


В Netcraft сообщают, что перехват возможен из-за наличия XSS-уязвимости на сайте Yahoo HotJobs (hotjobs.yahoo.com). На данном сайте атакующий может внедрить злонамеренный JavaScript, который и похитит искомые сведения. Код на JavaScript позволяет перехватывать как cookie с сайта HotHobs, так и с общего портала Yahoo. Затем скрипт передает полученные данные по указанному адресу.

"Когда сайт использует cookie для открытия сессий аутентификации, чрезвычайно важно защищать значения файлов-cookie и убедиться, что они недоступны третьей стороне. Зачастую при помощи XSS-уязвимостей доступ к этим данным имеют хакеры, которые и получают контроль над закрытой часть сайтов или пользовательскими данными", - говорят в Netcraft.

Специалисты компании говорят, что в случае с Yahoo для предотвращения перехвата в настройках передачи cookie достаточно указывать параметр HttpOnly, его понимают все современные браузеры.

Ранее в этом же году схожая уязвимость была блокирована на еще одном сайте Yahoo - ychat.help.yahoo.com, где помимо cookie можно было для большей верности получить и подлинный SSL-сертификат. Тогда некие испанские злоумышленники уже успели воспользоваться неосмотрительностью администраторов портала.

В обоих случаях, говорят в Netcraft, cookie Yahoo позволяли хакерам подделывать пользовательские сессии, позволяющие получить доступ к содержимому почты Yahoo Mail и других персональных сервисов.

Источник

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В работе облачных сервисов Microsoft произошел глобальный сбой

В ночь на 26 ноября в работе сервисов на платформе Microsoft 365, включая Teams, Exchange Online и Outlook, произошел сбой. Он продолжался 8 часов и был связан с ошибками в ходе планового обновления платформы.

Проблемы в работе сервисов Microsoft начали проявляться между 22:10 и 22:30 UTC (1:10 и 1:30 соответственно по московскому времени). Однако первые симптомы сбоя начали спорадически появляться уже в ночь на воскресенье 24 ноября.

Пользователи Outlook и Exchange Online не могли синхронизировать почту. В Teams перестали работать все функции, включая чаты, голосовые сообщения и календарь. Больше всего жалоб на прекращение работы сервисов поступало из обеих Америк, Австралии и зарубежного Дальнего Востока, где сбой пришелся на разгар рабочего дня.

Проблемы были вызваны неудачным обновлением платформы.

«Мы выявили недавнее изменение, которое, по нашему мнению, привело к сбою. Мы начали отменять изменение и выясняем, какие дополнительные действия необходимы для смягчения проблемы», — сообщили в Microsoft.

Служба поддержки Microsoft пообещала устранить проблемы за три часа. Однако оперативно это сделать не получилось, и работы затянулись до утра по UTC.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru